Vertrauliche Daten schützen: Das neue Klassifikationssystem der ETH

Um den Austausch, die Nutzung sowie den Schutz von Forschungs- und Verwaltungsdaten an der ETH zu erleichtern, wurde am 12. Juli 2021 ein neues Klassifizierungssystem f¨¹r die Vertraulichkeit von Informationen eingef¨¹hrt. Gleichzeitig wurde das bisherige Klassifizierungssystem in der Weisung ?Informationssicherheit an der ETH Z¨¹rich? angepasst. Einen ?berblick ¨¹ber die Neuerungen findet sich in dem Intern aktuell-Artikel ?Cloud-Nutzung und Klassifizierung von Informationen: Das wird neu?.

Warum eine Klassifizierung notwendig ist

Manche Daten in Forschung, Lehre oder Administration der ETH sind vertraulich und weisen deshalb einen hohen Schutzbedarf auf, um entweder die Sicherheit von Personen, Forschungsergebnissen oder Prozessen zu gew?hrleisten. Die Klassifizierung der Vertraulichkeit von Daten erm?glicht es den klassifizierenden Stellen (z.B. Urheber, Informationseignerinnen und -eigner) f¨¹r andere zu signalisieren, welchen Schutzbedarf ihre Daten (z.B. ein Dokument) ben?tigen bzw. welche Schutz?massnahmen zu ergreifen sind.

Die Informationseignerinnen und -eigner sind verantwortlich f¨¹r die Klassifizierung aller Informatio?nen, die durch sie oder in ihrem Auftrag erhoben und bearbeitet werden. Das k?nnen beispielsweise Professoren/Professorinnen, Stabs- oder Abteilungsleitende sein. Mithilfe der Klassifizierung legt der oder die Informationseignerin bzw. -eigner fest, welche Schutzmassnahmen f¨¹r ihre Informationen verbindlich gelten (vgl. Anhang 2 der Weisung ?Informationssicherheit an der ETH Z¨¹rich?).

Vier Klassifizierungs-Stufen

In der Weisung ?Informationssicherheit? sind in Art. 22 diese vier Stufen f¨¹r Vertraulichkeit definiert:

1. ?FFENTLICH: Als ??ffentlich? gelten Informationen, die von der zust?ndigen Stelle zur Ver?ffentlichung freigegeben werden. Das sind beispielsweise die Websites der ETH, Medienmitteilungen, ver?ffentliche Dissertationen oder bereits ver?ffentlichte Forschungsdaten. Hier sind keine besonderen Schutzmassnahmen n?tig.

2. INTERN: Als ?intern? gelten Informationen, deren Kenntnisnahme durch Unberechtigte die Interessen der ETH Z¨¹rich beeintr?chtigen kann. Demzufolge sind diese Informationen in der Regel nur f¨¹r Angeh?rige der ETH Z¨¹rich bestimmt. Darunter fallen z.B. Vorlesungsskripte, das interne Adressverzeichnis der ETH oder Townhall-Meetings. ?Interne? Informationen sind f¨¹r Angeh?rige der ETH zug?nglich (nur an Berechtigte); f¨¹r diese Daten gilt z.B. die sogenannte Clear Desk Policy. Das bedeutet, dass diese Daten nicht offen am Arbeitsplatz liegen d¨¹rfen, wenn der oder die Mitarbeitende nicht am Arbeitsplatz ist; und der Computer bei Abwesenheit nat¨¹rlich immer gesperrt sein muss. Alle Informationen in der ETH, falls nicht anders gekennzeichnet, gelten als ?intern?.

3. VERTRAULICH: Als ?vertraulich? gelten Informationen, deren Kenntnisnahme durch Unberechtigte die Interessen der ETH Z¨¹rich erheblich beeintr?chtigen kann. Diese Daten sollten nur einem bestimmten Personenkreis, einer Funktion oder Rolle zug?nglich sein. Dazu geh?ren zum Beispiel Leistungsbeurteilungen jedweder Art, Personaldossiers, Finanz- oder Risikoberichte, besonders sch¨¹tzenswerte Personendaten oder Forschungsdaten vor ihrer Ver?ffentlichung. Diese Art von Daten muss unter Verschluss gehalten bzw. elektronisch entsprechend gesichert werden. VERTRAULICHE Daten m¨¹ssen eindeutig so gekennzeichnet sein (in Grossbuchstaben).

4. STRENG VERTRAULICH: Als ?streng vertraulich? gelten Informationen, deren Kenntnisnahme durch Unberechtigte die Interessen der ETH Z¨¹rich schwerwiegend beeintr?chtigen kann. Diese Art von Daten zieht die h?chste Form der Sicherheit nach sich. Sie d¨¹rfen nicht in externe Cloud-Dienste, sind nur f¨¹r einen namentlich genannten Personenkreis zug?nglich (Genehmigung f¨¹r Weitergabe nur durch Informationseignenden) und k?nnen nur unter den h?chsten Sicherheitsvorkehrungen weitergegeben werden, z.B. unter Geheimhaltungsvereinbarungen, Dokumentation der Zugriffsberechtigungen f¨¹r elektronische Dokumente, Empfangsbest?tigungen und Speicherung nur auf verschl¨¹sselten Datentr?gern. Zu diesen Daten k?nnen geh?ren:

• Forschungsergebnisse, die bei vorzeitiger Ver?ffentlichung schwerwiegendsten Schaden verursachen k?nnen
• Besondere Daten bei Industriekooperationen, f¨¹r die vertraglich die h?chsten Sicherheitsvorkehrungen festgelegt wurden
• medizinische Daten, die unter das Humanforschungsgesetz fallen.

STRENG VERTRAULICHE Daten m¨¹ssen eindeutig so gekennzeichnet sein (in Grossbuchstaben).

Klassifikation aufgrund des Risiko-Potenzials

Die Klassifikation erfolgt in erster Linie risikobasiert (vgl. Anhang 1b, Weisung ?Informationssicherheit an der ETH Z¨¹rich?), was auch die oben angegebenen Definitionen der vier Klassifizierungsstufen verdeutlichen. Die Stufe der Vertraulichkeit leitet sich also von dem Risiko her, das f¨¹r die ETH eintritt, sollte die entsprechende Information in die H?nde von Unberechtigten gelangen. Das Risiko gibt damit den Rahmen f¨¹r die Schutzmassnahmen vor, die notwendig sind, um die Vertraulichkeit zu gew?hrleisten.

Weitere g?ngige Beispiele, wie welcher Typ von Daten klassifiziert werden sollte, sowie Vorgaben zum Schutz entsprechend gekennzeichneter Daten sind in den Anh?ngen der Weisung Informationssicherheit aufgelistet. In Anhang 1a befindet sich eine Liste mit Beispielen f¨¹r die Klassifizierung von Informationsbest?nden. Anhang 1c zeigt auf, wie die Kennzeichnung der Informationsbest?nde auf unterschiedlichen Informationstr?gern erfolgen kann.

Der Umgang mit klassifizierten Informationen, und damit die anzuwendenden notwendigen Schutzmassnahmen, werden in Anhang 2 detailliert dargestellt.

Vorteile des neuen Systems

Das erweiterte Klassifizierungssystem bietet viele Vorteile, insbesondere, weil die technischen Herausforderungen in der digital vernetzten Welt, und vor allem bei der Nutzung von Cloud-Diensten, einen differenzierteren Umgang mit Informationen vonn?ten machen.

In Bezug auf die Nutzung von Cloud-Services wird damit die M?glichkeit geschaffen, Daten, die in die neuen Klassifizierungsstufen ?vertraulich? und ?intern? eingestuft sind, in streng gepr¨¹ften externen Cloud-Diensten mit entsprechenden Sicherheits- und Datenschutz-Standards zu speichern und zu bearbeiten. Die Verantwortung f¨¹r die Auslagerung der Daten in die Cloud verbleibt dabei bei den Informationseignenden. Die Regelungen daf¨¹r finden sich in den ?IT-Richtlinien und IT-Grundschutzvorgaben der ETH Z¨¹rich?.

?bergangsbestimmungen

F¨¹r die Anwendung des neuen Klassifizierungssystems gelten folgende ?bergangbestimmungen:

• Ab 1. Dezember 2021 sollen die Klassifizierungsstufen verbindlich f¨¹r alle neu entstehenden Dokumente eingesetzt werden. Es werden Templates f¨¹r g?ngige Office-Dokumente zur Verf¨¹gung gestellt (z.B. Berichte, Briefe, Traktandenliste, Pr?sentationen).

• F¨¹r bereits bestehende Informationsbest?nde sollen ab 1. Dezember 2023 auch alte Dokumente durch die Informationseignerinnen und -eigner an das neue Klassifizierungssystem angepasst sein. Es obliegt diesen Personen zu pr¨¹fen, ob insbesondere Informationen, die bereits als ?VERTRAULICH? klassifiziert wurden, f¨¹r den Klassifizierungsvermerk ?STRENG VERTRAULICH? qualifizieren.